Plex ha invitato i propri utenti ad aggiornare immediatamente sia Plex Media Server che il client desktop, a seguito della correzione di diverse vulnerabilità di sicurezza. L’azienda non ha ancora reso pubblici gli identificativi CVE (Common Vulnerabilities and Exposures) né dettagli tecnici specifici sulle falle riscontrate, precisando che le richieste per l’ottenimento di tali informazioni sono state inoltrate e ulteriori comunicazioni seguiranno.

Plex ha inoltre contattato direttamente via email gli utenti che utilizzano versioni potenzialmente a rischio. La fretta nell’aggiornamento è motivata dalla possibilità che un’analisi delle patch possa portare alla ricostruzione delle vulnerabilità e allo sviluppo di exploit prima che tutti gli amministratori abbiano completato la procedura.

La correzione principale riguarda Plex Media Server versione 1.43.3, considerato da Plex un aggiornamento necessario per chi utilizza la versione 1.43.2 o una precedente. Questa release è stata pubblicata il 19 maggio 2026, mentre Plex Desktop 1.115.0 è disponibile dal 13 agosto 2026.

L’avviso ufficiale, diffuso il primo settembre 2026, raccomanda a tutti i proprietari di server e agli utenti desktop di installare le versioni più recenti. Per i server installati su dispositivi NAS (Network Attached Storage), Plex avverte che l’aggiornamento potrebbe non essere immediatamente disponibile tramite il gestore software del dispositivo; in questi casi è possibile procedere con l’installazione manuale del pacchetto corretto.

Si consiglia di verificare la versione attualmente installata e controllare la disponibilità dell’aggiornamento attraverso i canali ufficiali. La raccomandazione è particolarmente importante per i server esposti a Internet, poiché un aggiornamento mancato lascerebbe in esecuzione il software identificato come vulnerabile.

Questo avvertimento assume maggiore importanza alla luce di precedenti problemi di sicurezza che hanno coinvolto Plex. Ad agosto 2025 l’azienda aveva segnalato una vulnerabilità ad alta gravità, identificata come CVE-2025-34158, che permetteva la sottrazione delle credenziali del proprietario del server. Nel marzo 2023, il Cybersecurity and Infrastructure Security Agency (CISA) aveva inserito CVE-2020-5741 nel catalogo delle vulnerabilità attivamente sfruttate: questo problema consentiva l’esecuzione di codice sul server Plex tramite richieste appositamente create.

Anche l’incidente del 2022 resta rilevante per comprendere la serietà della situazione. In quell’occasione, Plex comunicò una violazione che aveva esposto indirizzi email, nomi utente e credenziali cifrate. Questi precedenti non indicano che le nuove vulnerabilità siano già sfruttate o collegate agli incidenti passati, ma sottolineano come la compromissione di un server Plex possa avere conseguenze significative oltre alla semplice interruzione del servizio.

Per gli amministratori, la misura più efficace resta quindi verificare la versione installata e aggiornare Plex Media Server almeno alla 1.43.3, non dimenticando di portare il client desktop alla 1.115.0.

* Contenuto realizzato con l’ausilio di sistemi di intelligenza artificiale.